Azure AD, Okta, Keycloak — wszystkie trzy robią to samo: jedno logowanie do wielu aplikacji. Różnią się tym, kto za to płaci, kto trzyma dane i ile kontroli oddajesz zewnętrznemu dostawcy w zamian za wygodę gotowego produktu.
Azure AD (Entra ID) — naturalny wybór przy Microsoft 365
Jeśli firma żyje w ekosystemie Microsoftu, Azure AD (dziś formalnie Entra ID) integruje się z nim bezproblemowo — logowanie do Teams, SharePointa, Outlooka i reszty pakietu dzieje się właściwie automatycznie. Cena rośnie jednak z liczbą użytkowników i wybranym poziomem licencji (P1 vs P2, z różnicą w dostępności zaawansowanych funkcji jak dostęp warunkowy czy ochrona tożsamości oparta na ryzyku). Przy kilkudziesięciu pracownikach to już realna, powtarzalna pozycja w budżecie IT, nie jednorazowy wydatek.
Okta — dojrzały, ale kosztowny SaaS
Szeroki katalog gotowych integracji (kilka tysięcy aplikacji w marketplace) i duże doświadczenie enterprise — Okta od lat specjalizuje się wyłącznie w zarządzaniu tożsamością, więc dopracowanie produktu jest odczuwalne. Rozliczenie zwykle per użytkownik miesięcznie, w kilku warstwach cenowych zależnie od tego, ile funkcji (MFA, lifecycle management, zaawansowane raporty) firma wykupuje. To model, który przy rosnącym zespole potrafi zaskoczyć na fakturze rok po wdrożeniu — koszt skaluje się liniowo z liczbą kont, nie z realnym wykorzystaniem systemu.
Keycloak — bez opłat za użytkownika
Open source, self-hosted, zero kosztu licencji niezależnie od liczby kont. Obsługuje te same standardowe protokoły (OpenID Connect, OAuth2, SAML), co Azure AD i Okta — różnica jest w tym, kto hostuje dane logowania: Ty, na własnym serwerze, czy zagraniczny dostawca SaaS. Koszt nie znika całkowicie — przenosi się z powtarzalnej subskrypcji na jednorazowe wdrożenie i czas własnego zespołu (albo zewnętrznego wykonawcy) na utrzymanie.
Dostęp warunkowy i adaptacyjne MFA
To obszar, w którym Azure AD i Okta mają realną przewagę „z pudełka”: reguły dostępu warunkowego (np. wymagaj dodatkowego uwierzytelnienia przy logowaniu z nowego kraju albo nieznanego urządzenia) i ocenę ryzyka logowania w czasie rzeczywistym. Keycloak potrafi to samo. Ale nie od razu — wymaga dodatkowej konfiguracji polityk uwierzytelniania albo rozszerzeń, nie jednego przełącznika w panelu, jak w płatnych planach konkurencji. Dla firm, którym zależy na automatyzacji ryzyka od pierwszego dnia, to realny argument za SaaS-em.
Przykładowe wyliczenie kosztu dla 50 pracowników
Weźmy ilustracyjny, zaokrąglony przykład: firma z 50 pracownikami, plan z dostępem warunkowym i MFA w Azure AD czy Okta. Nawet przy relatywnie niskiej stawce rzędu kilkunastu złotych za użytkownika miesięcznie, roczny koszt takiej subskrypcji to kilka tysięcy złotych — powtarzalnych, co roku, rosnących wraz z zatrudnieniem. Keycloak w tym samym scenariuszu kosztuje tyle, ile wynosi jednorazowe wdrożenie (zwykle tydzień do dwóch pracy) plus ewentualny mały serwer, na którym stoi. Przy trzy-, czteroletnim horyzoncie różnica robi się trudna do zignorowania.
Zgodność z RODO i rezydencja danych
Dane logowania — adresy e-mail, historia dostępów, czasem numery telefonów do MFA — to dane osobowe w rozumieniu RODO. Przy self-hostingu Keycloak firma dokładnie wie, gdzie fizycznie leżą te dane, bo sama wybiera serwer. Azure AD i Okta przechowują dane w infrastrukturze globalnego dostawcy — zwykle z opcją wyboru regionu UE, ale wciąż w modelu, w którym ostateczna kontrola nad infrastrukturą należy do zewnętrznej firmy, nie do Ciebie. Dla części firm, zwłaszcza tych przetwarzających wrażliwe dane klientów, to argument decydujący na korzyść self-hostingu.
Federacja z istniejącym Active Directory
Rzadko poruszany, a praktyczny szczegół: Keycloak nie wymaga porzucenia istniejącego, lokalnego Active Directory czy serwera LDAP. Potrafi się z nim federować — traktować jako źródło kont i haseł, a samemu dokładać SSO, MFA i integrację z aplikacjami webowymi ponad tym, co już działa. Firma nie musi migrować tożsamości pracowników donikąd, tylko dołożyć nową warstwę logowania nad istniejącą infrastrukturą. Azure AD też to potrafi (Azure AD Connect), Okta podobnie — różnica jest w tym, że przy Keycloak cały ten mechanizm zostaje pod pełną kontrolą firmy, bez synchronizacji danych do zewnętrznej chmury.
Wysiłek migracyjny i codzienna administracja
Azure AD i Okta oferują dopracowane, graficzne panele administracyjne, w które dostawca wkłada ciągły rozwój — koszt tej wygody jest wliczony w subskrypcję. Keycloak ma solidny, ale mniej dopieszczony interfejs administracyjny — różnica odczuwalna głównie przy bardzo rozbudowanych, nietypowych scenariuszach konfiguracyjnych, rzadziej przy standardowym zarządzaniu użytkownikami i grupami w małej czy średniej firmie.
Ryzyko uzależnienia od dostawcy
Co się dzieje, gdy firma zechce zmienić dostawcę SSO za kilka lat? Przy Azure AD czy Okta to migracja wszystkich integracji, kont i polityk do innego systemu. Bolesna. Czasochłonna. Konfiguracja żyje w zamkniętej, płatnej platformie — zabierasz się z niej, nie zabierasz jej ze sobą. Keycloak, oparty na otwartych standardach, nie eliminuje tego ryzyka całkowicie, ale znacząco je redukuje: konfiguracja i dane logowania nie są zakładnikiem jednego komercyjnego dostawcy i jego dalszych decyzji cenowych.
Porównanie w skrócie
- Koszt: Keycloak — zero za licencję, koszt wdrożenia jednorazowy. Azure AD i Okta — opłata per użytkownik, rosnąca z zespołem, co miesiąc.
- Kontrola nad danymi: Keycloak — pełna, dane zostają na Twoim serwerze. Azure AD i Okta — dane u zagranicznego dostawcy, z opcją wyboru regionu.
- Dostęp warunkowy i adaptacyjne MFA: Azure AD i Okta — gotowe „z pudełka”. Keycloak — możliwe, ale wymaga konfiguracji.
- Integracja z Microsoft 365: Azure AD ma tu naturalną przewagę.
- Elastyczność wdrożenia: Keycloak — pełna kontrola nad konfiguracją i hostingiem.
Który wybrać — konkretne scenariusze
- Firma w pełni oparta na Microsoft 365: Azure AD bywa naturalnym, najmniej kłopotliwym wyborem integracyjnie.
- Firma potrzebująca zaawansowanego dostępu warunkowego od zaraz, bez czasu na konfigurację: Okta albo Azure AD P2 — gotowa funkcja, wyższy koszt.
- Firma z mieszanym środowiskiem, dbająca o koszty i kontrolę nad danymi: Keycloak — brak opłat za użytkownika i pełna kontrola nad infrastrukturą.
- Firma przetwarzająca wrażliwe dane klientów, z restrykcyjnym podejściem do RODO: self-hosted Keycloak daje pewność co do lokalizacji danych logowania.
- Firma, która chce zachować niezależność od jednego dostawcy IT na przyszłość: Keycloak, oparty na otwartych standardach, łatwiej przenieść albo zintegrować z nowym otoczeniem niż zamkniętą konfigurację SaaS.
Płacisz za Azure AD czy Okta co miesiąc, na zawsze. Za Keycloak płacisz raz — za wdrożenie.
Same logowanie to jednak dopiero połowa bezpieczeństwa. O tym, jak Keycloak chroni dostęp przez uwierzytelnianie dwuskładnikowe, piszę w kolejnym artykule: MFA i bezpieczne logowanie w Keycloak.